Windows Server 2025 в КИИ: официальная позиция получена, дорожные карты пересматриваем

Осенью пришёл ответ на вопрос, который нам задавали минимум дюжина клиентов с начала года: как регулятор смотрит на Windows Server 2025 в контуре значимых объектов КИИ? Официальная позиция получена - и теперь у нас есть что сказать тем, кто обновился, и тем, кто только планирует.

Коротко: использование Windows Server 2025 на значимых объектах КИИ несовместимо с требованиями по импортозамещению, и никаких специальных исключений для «свежей» версии Windows нет. Это, в общем-то, логичное продолжение курса - но практические последствия оказались неожиданными для нескольких наших заказчиков.

Почему вопрос вообще возник

Дело в том, что Windows Server 2025 вышел в конце 2024 года, и часть организаций - субъектов КИИ - восприняла обновление как технически нейтральное: «мы же не переходим на новый продукт иностранного вендора, мы просто обновляем версию того, что уже есть». Логика понятная, но неверная с точки зрения регуляторики.

Требования по переходу на отечественное ПО распространяются на категорию продукта, а не на конкретную версию. Обновление с Windows Server 2022 до Windows Server 2025 не переводит организацию в какую-то «переходную» зону - она по-прежнему использует иностранное серверное ПО на значимом объекте, и срок на замену от этого не сдвигается.

Один из наших клиентов - промышленный субъект второй категории значимости - обновил часть серверов до WS2025 именно в этой логике: «новее - лучше, на переход всё равно ещё есть время». Когда стала понятна официальная позиция, пришлось иметь неприятный разговор.

Что конкретно говорит официальная позиция

Разъяснения, которые мы получили через аттестующую организацию и которые подтвердили коллеги из нескольких других компаний, сводятся к следующему.

Windows Server 2025 не является отечественным ПО и не включён в реестр российского программного обеспечения. Это, разумеется, было очевидно и раньше - но вопрос стоял про интерпретацию планов перехода и допустимость промежуточных состояний.

Обновление с предыдущей версии Windows Server не считается миграционным действием в сторону выполнения требований. Фиксация версии ПО иностранного вендора или её обновление одинаково не засчитываются как прогресс перехода.

Наличие WS2025 на значимом объекте при плановой проверке будет рассматриваться как несоответствие - аналогично WS2019 или WS2022. Версия продукта не смягчает квалификацию.

Лицензии Microsoft - отдельная история, которую тоже прояснили. Использование подписочных лицензий Microsoft на значимых объектах после установленных сроков создаёт дополнительный риск: помимо требований ФСТЭК, есть вопрос о правомерности самих лицензионных отношений с вендором, который ушёл с российского рынка. Чёткого регуляторного ответа на этот вопрос пока нет, но он висит в воздухе.

Как это меняет дорожные карты

У нас сейчас в работе аудиты объектов КИИ у нескольких организаций, и осенние разъяснения повлияли на планирование у трёх из них.

Первый сценарий - уже обновились до WS2025. Здесь ситуация неприятная, но не катастрофическая. Сам по себе факт обновления не создаёт новое нарушение - нарушение было и до обновления, если организация не выполнила план перехода. Обновление просто не помогло. Что нужно: откорректировать план перехода с учётом реального состояния, убедиться, что документально зафиксирован статус «в процессе» с конкретными сроками и мероприятиями. Регулятор сейчас смотрит на наличие плана и динамику его выполнения.

Второй сценарий - планировали обновить «пока не перешли». Часть клиентов ждала с апгрейдом, рассматривая WS2025 как возможный промежуточный шаг для закрытия других технических задач. После разъяснений смысл в этом обновлении исчез - вместе с расходами на лицензии. Деньги можно направить на сам переход.

Третий сценарий - WS2025 в нецелевой части инфраструктуры. Если сервер находится в контуре, который не является значимым объектом КИИ, разъяснения напрямую не применяются. Но здесь стоит перепроверить границы категоризации - она у части клиентов устарела и не учитывает изменения в инфраструктуре за последние год-два.

Что делать прямо сейчас

Мы три недели назад писали про общую картину с переходом и отмечали, что у большинства клиентов выполнено 40-60% от формального перечня. Windows Server в серверном контуре - одна из наиболее незакрытых позиций, и она останется незакрытой вне зависимости от того, какая версия WS стоит.

Практический список, который мы сейчас проходим вместе с клиентами.

• Инвентаризация Windows Server по версиям - понять, где стоит что, и есть ли среди этого WS2025 на значимых объектах. Звучит банально, но у нескольких клиентов этого актуального списка не было.
• Статус лицензий Microsoft - есть ли действующие подписки, как они оплачиваются, через каких посредников. Это не только регуляторный риск, но и финансовый: непредвиденное прекращение лицензии создаёт операционный риск.
• Целевая ОС для замены - для серверной инфраструктуры КИИ основные варианты это Astra Linux и РЕД ОС, оба с актуальными сертификатами ФСТЭК. Выбор зависит от стека приложений и требований аттестующей организации.
• Корректировка плана перехода - если в плане была заложена промежуточная точка «обновление до WS2025», её нужно убрать или переоформить.

Отдельный момент - организации, у которых переход с Windows Server был зафиксирован в плане на 2026 год. Разъяснения не меняют сроков, но меняют понимание того, что считается движением к цели, а что нет. Обновление версии Windows - не считается. Это стоит зафиксировать документально, чтобы не объяснять это потом на проверке.

Продолжаем разбирать кейсы - если картина по конкретным прикладным системам на Windows Server прояснится, напишем отдельно.